来月以降、サイバー攻撃を理由にフライトが欠航または遅延した場合、航空会社は食事引換券やホテルの提供を行わなくてもよいことになります。連邦当局がそうした対応を認める方針を示しました。
この変更は、運輸省(Transportation Department)が先週公表したより広範な規則の一部です。この規則は情報追跡のための新たな「遅延原因」カテゴリーを設けるとともに、10種類の事象について航空会社が顧客に対して負う責任を軽減するものです。その10種類の中には、「サイバーセキュリティ攻撃(該当する航空会社が適用されるサイバーセキュリティ規制を遵守していることが条件)」も含まれています。
これらのサイバー攻撃を含む10種類の事象は「コントロール不能」と見なされます。運輸分野を担当するCrowell & Moring法律事務所の顧問弁護士であるSophie Hayashi氏は、クライアント向けアラートの中で、「これらの特定の原因によって混乱が生じた場合、航空会社は[顧客サービス]計画のもとで便宜や補償を提供する義務をもはや負わない」と述べています。
こうした航空会社独自の顧客サービス計画は法的拘束力を持ちません。しかし運輸省は、航空会社が約束した内容について「責任を持たせる」と主張しています。
航空会社利用者の権利保護団体であるFlyersRightsは、この変更に懐疑的な見方を示しました。同団体は、この変更が一般からの意見公募の機会を与えられずに行われたと指摘し、航空会社の顧客への影響や便宜の縮小がないかを監視していく方針を明らかにしています。
同団体の会長であるPaul Hudson氏はCyberScoopに対し、具体的には「サイバーセキュリティは航空会社の責任であり、フライトが遅延または欠航した場合、その遅延が航空会社の過失によるものではないことを明確にすべきだ。サイバー攻撃は絶えず発生しているのだから」と語りました。同氏は続けて、「我々はこれまでも、頻繁にダウンしている航空会社のコンピューターシステムについて、ストレステストの実施を求めてきた」と述べています。
別の団体である全米消費者連盟(National Consumers League)は、この規則が旅客に与える影響について、より複雑な見方を示しました。同団体の公共政策担当バイスプレジデントであるJohn Breyault氏によれば、一方ではこの規則が旅客にとって良い方向に働く可能性があるといいます。
「この内容が規則として制定されたことで良かったのは、消費者にとって、どの航空会社を利用していても一定の権利があるという確信が得られる点だ。遅延や欠航が発生した際にホテルを提供するかどうかを航空会社の裁量に委ねるのではなく、消費者の権利として保証されることになる」と同氏は述べました。
一方でBreyault氏は、「運輸省は航空業界にとって規則の負担をいくぶん軽くしようとしているように見える」とも指摘し、特に10種類の事象の一つである「予定外のメンテナンス」に関するあいまいさを、航空会社が悪用して消費者への補償を回避する手段として使う可能性を懸念しているとしています。
Breyault氏によれば、この規定には「適用されるサイバーセキュリティ規制の遵守」という条件が付いているため、消費者保護につながる可能性も残っているといいます。Hayashi氏は、遵守を証明できない航空会社は顧客対応やその他の要件の対象になると述べています。
Crowell & MoringのパートナーであるKate Growley氏は、「最終規則における『適用されるサイバーセキュリティ規制』という文言は、特筆すべき広範さを持っている」と指摘します。「これは、サイバーセキュリティ攻撃の予測不可能な性質を踏まえた意図的な設計かもしれない。どの規制が適用されるかは、攻撃によってどの情報や運用能力が影響を受けたかなど、攻撃の具体的な状況によって異なり得る」と同氏は説明しています。
サイバー攻撃が原因で発生した遅延や欠航について、航空会社が食事引換券やホテルを提供した頻度に関する公式な集計は存在しません。ハッカーはこれまでにも航空会社やフライト自体を標的にしてきました。例えば、Scattered Spiderによる昨年夏の攻撃もその一例です。
サイバー攻撃は実際にフライトの遅延や欠航を引き起こしてきましたが、その中には第三者を標的とした攻撃が原因となったケースもあります。例えば、昨年のCollins Aerospaceへの攻撃は、欧州における遅延を引き起こしました。攻撃者は航空分野の他の要素も標的にしてきました。2024年に発生したサイバーセキュリティ企業CrowdStrikeに関連するITアウテージによりフライトが地上待機となった事案は、サイバー攻撃ではありませんでしたが、航空会社は旅客に対して一定の補償を提供しました。運輸省は、この事案は航空会社のコントロール下にあったと判断しています。
バイデン政権は2023年、業界における「持続的なサイバーセキュリティの脅威」を理由に、空港、航空機所有者、航空機運航者に対してサイバーセキュリティ規制を課したことで注目されました。
今回新たに公表された運輸省(DOT)の規則は、Joe Biden大統領が2024年に署名した連邦航空局(FAA)の認可法に基づくものです。
運輸省の広報担当者は、「議会は2024年のFAA再認可法において、これらの変更を行うようDOTに明確に指示した」と述べています。「これら10種類の特定のフライト混乱は、今後新設される報告カテゴリーで追跡されることになり、政府の遅延データが航空会社の制御可能・不可能な事象を正確に反映するようになる」としています。
航空業界の情報共有分析センター(Aviation Information Sharing Analysis Center)は、インシデント報告に関連する今回の規則の内容を評価するとしています。
同団体の会長兼CEOであるJeff Troy氏は、「Aviation ISACは、複数の政府機関にわたるサイバーセキュリティ報告の簡素化と調和を図る取り組みを支持している」と述べ、「今回の規則は正しい方向への一歩だ」と評価しました。
Hayashi氏はCyberScoopに対し、今回の規則変更は航空会社と消費者の双方にとって良い方向に働くとみられると語りました。航空会社にとっては自らのコントロール下にない混乱について明確な基準が得られる一方、消費者にとってもメリットがあるといいます。
「これは実際、すべての関係者、特に消費者にとって有益だ。航空会社の遅延・欠航率を見る際に、航空会社側の遅延について最も正確な実態が反映されるようになるからだ」と同氏は述べています。
翻訳元: https://cyberscoop.com/dot-rule-airline-cyberattack-flight-delays/
